Alertas prioritarias y resúmenes de Radar por correo.
Comprobando disponibilidad…
Aviso de seguridad
Barracuda confirms exploitation affecting a small number of organizations. ESG has both flaws; the command injection also affects other listed appliances, with different authentication requirements.
Quiénes deben revisar: Teams operating the Barracuda appliances listed in the affected systems table.
Acción recomendadaCorrección disponible
Restrict administration access to trusted networks, install the latest firmware and verify the applicable security patch. Investigate prior exposure separately from patching.
CVE-2026-116606 bypasses authorization on ESG without credentials when the administrative interface is reachable. CVE-2026-111560 requires administrative access on its own. The combined ESG path can reach root; that chain must not be assumed for every listed product.
The vendor corrected the authentication description on November 5 and confirmed exploitation on November 9. CISA added both CVEs on November 10. These dates do not establish when attacks began.
Firmware and security patches are separate checks. Follow the product table rather than assuming the latest firmware alone completes remediation.
Proveedor / autor
Barracuda
Identificadores de vulnerabilidad
CVE-2026-116606 · CVE-2026-111560
Acceso necesario
Depende de la aplicación o configuración
Divulgado
2 nov 2026
Última revisión de evidencia
11 nov 2026 UTC
¿Qué sistemas y versiones están afectados?
Producto
Afectado
Versión corregida / acción
Email Security Gateway (both CVEs)
Appliances missing the applicable security patch; administration UI must be reachable.
Latest firmware plus BNSF-40425 for 9.4.017+, or BNSF-40430 for older firmware.
Load Balancer ADC (CVE-2026-111560)
Appliances missing the patch; this command injection requires administrative access on its own.
Latest firmware plus BNADC-16586.
Message Archiver (CVE-2026-111560)
Appliances missing the patch; this command injection requires administrative access on its own.
Latest firmware plus BNMA-32468.
WAF Control Center (CVE-2026-111560)
Appliances missing the patch; this command injection requires administrative access on its own.
Latest firmware plus BNWF-60060.
Web Application Firewall (CVE-2026-111560)
Appliances missing the patch; this command injection requires administrative access on its own.
Latest firmware plus BNADC-16586.
Web Security Gateway (CVE-2026-111560)
Appliances missing the patch; this command injection requires administrative access on its own.
Latest firmware plus BNYF-24789.
Usá las indicaciones para tu producto y rama. Confirmá con el proveedor las correcciones adaptadas a tu distribución; el nombre del producto por sí solo no establece exposición.
Barracuda confirms exploitation and CISA lists both CVEs in KEV. Reachable ESG administration interfaces are the immediate concern; other products have separate prerequisites.
¿Qué implica para los entornos de IA?
Oktsec recommends reviewing credentials and integrations reachable from a compromised appliance. These flaws are not specific to AI.
Added affected configurations, vendor corrections and confirmed exploitation evidence.
Acciones de respuesta
Prepará tu respuesta
0 de 3 acciones registradas como completadas
Usá esta lista para evaluar si el aviso afecta a tus sistemas, registrar las acciones de tu equipo y compartir el resultado. Radar no escanea ni verifica tu entorno.
Los cambios se guardan automáticamente en este navegador. No se sincronizan con tu equipo ni se envían a Oktsec.
Indicá el sistema y la persona o equipo responsable. Actualizá cada acción y agregá una referencia al ticket o notas sobre lo revisado.
1
Identify product and management exposure
Record the exact appliance, firmware, patch status and networks that could reach its administrative interface.
Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
2
Verify firmware and security patches
Use the vendor table for the exact product. If a patch did not apply automatically, install it manually and verify completion.
Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
3
Investigate earlier access
Oktsec recommends preserving logs, checking unexpected administrative changes and involving incident response if compromise is suspected. Patching alone does not prove removal of persistence.
Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
3. Compartí el plan
Descargá un archivo Markdown con tu decisión, los estados de las acciones, las notas y las fuentes. Compartilo con tu equipo o adjuntalo a un ticket.
Compará la versión en ejecución y la configuración con las indicaciones del proveedor.
Producto
Afectado
Versión corregida / acción
Email Security Gateway (both CVEs)
Appliances missing the applicable security patch; administration UI must be reachable.
Latest firmware plus BNSF-40425 for 9.4.017+, or BNSF-40430 for older firmware.
Load Balancer ADC (CVE-2026-111560)
Appliances missing the patch; this command injection requires administrative access on its own.
Latest firmware plus BNADC-16586.
Message Archiver (CVE-2026-111560)
Appliances missing the patch; this command injection requires administrative access on its own.
Latest firmware plus BNMA-32468.
WAF Control Center (CVE-2026-111560)
Appliances missing the patch; this command injection requires administrative access on its own.
Latest firmware plus BNWF-60060.
Web Application Firewall (CVE-2026-111560)
Appliances missing the patch; this command injection requires administrative access on its own.
Latest firmware plus BNADC-16586.
Web Security Gateway (CVE-2026-111560)
Appliances missing the patch; this command injection requires administrative access on its own.
Latest firmware plus BNYF-24789.
Confirmá con el proveedor las correcciones adaptadas a tu distribución. Coincidir en el producto no basta para establecer exposición.
Acceso necesarioDepende de la aplicación o configuración
EVIDENCIA CON FUENTES
Evidencia y fuentes
Revisado 11 nov 2026 UTC
Por qué tiene esta prioridad
Barracuda confirms exploitation and CISA lists both CVEs in KEV. Reachable ESG administration interfaces are the immediate concern; other products have separate prerequisites.
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Los plazos y requisitos federales de CISA se muestran como contexto. No son obligaciones universales para empresas privadas o de América Latina. La fecha de incorporación corresponde al catálogo, no al primer ataque.
Evidencia de respaldo
Producto / CVE
Evidencia de ataques
Indicaciones de la fuente
Email Security GatewayCVE-2026-116606
Ataques confirmados
Confirmado por CISA, la agencia de ciberseguridad de EE. UU.
1.6% de probabilidad estimada de explotación en los próximos 30 días. No es la probabilidad de un ataque a tu organización.
Puntaje del 10 nov 2026 · Superior al 76.03% de las vulnerabilidades evaluadas.Sin cambios desde 9 nov 2026.Datos de FIRST EPSS
CVE-2026-111560
1.06% de probabilidad estimada de explotación en los próximos 30 días. No es la probabilidad de un ataque a tu organización.
Puntaje del 10 nov 2026 · Superior al 64.83% de las vulnerabilidades evaluadas.Sin cambios desde 9 nov 2026.Datos de FIRST EPSS
FIRST EPSS · Revisado 2026-11-11 13:38 UTC
La prioridad corresponde al aviso, no a cada producto o CVE por separado. Cada fila muestra solo la evidencia atribuida a ese CVE. La falta de evidencia de ataques no permite descartar una vulnerabilidad. Tu entorno no fue escaneado.
Fuentes
Los datos técnicos provienen de estas fuentes. Las prioridades y las acciones recomendadas son el análisis de Oktsec.